Datenschutz: Europas Behörden verschärfen den Ton

Die Datenschutzaufsicht in Europa geht mit drastischen Mitteln gegen Verstöße vor. Neue Bußgelder und ein sofortiges Verarbeitungsverbot gegen Amazon in Italien zeigen: Die Behörden setzen zunehmend auf operative Eingriffe statt auf reine Strafen.

Polizei in Schottland kassiert hohe Geldstrafe

Am 11. März 2026 verhängte die britische Datenschutzbehörde ICO eine Geldstrafe von 77.000 Euro gegen Police Scotland. Der Grund: Beamte hatten bei einer Ermittlung den gesamten Inhalt eines Handys ausgelesen, ohne zwischen relevanten und irrelevanten Daten zu unterscheiden. Die sensiblen Informationen landeten unredigiert in einer Akte und wurden an unbefugte Dritte weitergegeben. Der Fall ist ein Lehrstück für das Prinzip der Datenminimierung. Unternehmen müssen technische Vorkehrungen treffen, um nur das Nötigste zu erfassen und Mitarbeiter entsprechend zu schulen.

Bei der Verarbeitung sensibler Mitarbeiterdaten lauern teure Haftungsfallen, die oft erst bei einer Prüfung durch die Behörden sichtbar werden. Dieser Experten-Leitfaden klärt die wichtigsten Fragen zur rechtssicheren Umsetzung und schützt Sie vor folgenschweren Fehlern. Wann ist eine Datenschutz-Folgenabschätzung wirklich Pflicht?

Amazon in Italien: Notfall-Verbot wegen Mitarbeiterüberwachung

Noch drastischer reagierte die italienische Datenschutzbehörde Garante. Sie untersagte Amazon Italia Logistica Anfang März mit sofortiger Wirkung die Verarbeitung personenbezogener Daten von über 1.800 Mitarbeitern. Hintergrund sind systematische Verstöße in einem Logistikzentrum. Laut Behördenberichten speicherte der Konzern hochsensible Daten aus Rückkehrgesprächen – darunter Krankheiten wie Morbus Crohn, Gewerkschaftsaktivitäten und private Familienangelegenheiten. Diese Informationen waren für viele Manager einsehbar und wurden teils bis zu zehn Jahre nach Ausscheiden des Mitarbeiters gespeichert. Zudem musste Amazon die Überwachung mit Kameras in der Nähe von Sanitär- und Pausenräumen einstellen.

Neue EU-Leitlinien für Gesundheitsdaten

Parallel verschärft sich der regulatorische Rahmen auf EU-Ebene. Der Europäische Datenschutzausschuss (EDPB) und der Europäische Datenschutzbeauftragte (EDPS) legten am 12. März ein gemeinsames Gutachten zum geplanten European Biotech Act vor. Sie fordern darin strenge Schutzvorkehrungen für Gesundheitsdaten in klinischen Studien. Die Behörden betonen: Der Fortschritt in der Medizin darf nicht auf Kosten der Privatsphäre gehen. Sie empfehlen den verpflichtenden Einsatz von Pseudonymisierung, sofern die direkte Identifizierung von Personen nicht absolut notwendig ist. Für die Life-Sciences-Branche wird dies zur zentralen Compliance-Anforderung.

Was bedeutet das für Unternehmen?

Die Fälle zeigen einen klaren Trend: Die Aufsichtsbehörden prüfen nicht mehr nur Dokumente, sondern greifen direkt in Geschäftsprozesse ein. Für Compliance-Verantwortliche ergeben sich drei zentrale Handlungsfelder:

1. Strikte Datenminimierung: Es darf nur das gesammelt werden, was für den konkreten Zweck unbedingt nötig ist. Automatisierte Redaktionswerkzeuge sind essenziell.
2. Überarbeitete Aufbewahrungsfristen: Die wahllose Speicherung sensibler Daten, wie bei Amazon, wird hart bestraft. Automatische Löschmechanismen nach Fristablauf sind Pflicht.
3. Regelmäßige Datenschutz-Folgenabschätzungen: Für Systeme mit Mitarbeiterüberwachung oder der Verarbeitung von Gesundheitsdaten sind DPIAs unerlässlich. Sie müssen Notwendigkeit und Verhältnismäßigkeit der Datenverarbeitung kritisch hinterfragen.

Um drakonische Bußgelder von bis zu 2 % des Jahresumsatzes zu vermeiden, müssen Unternehmen ihre Datenschutzprozesse jetzt präzise dokumentieren. Nutzen Sie diese kostenlosen Muster-Vorlagen und Checklisten, um Ihre Datenschutz-Folgenabschätzung rechtssicher und effizient zu erstellen. Jetzt kostenlose DSFA-Vorlagen und Anleitung sichern

Ausblick: Der Druck bleibt hoch

Die Entwicklung im März 2026 signalisiert eine neue Phase der Datenschutz-Durchsetzung in Europa. Die Behörden setzen zunehmend auf sofortige Verbote, die den Betrieb lahmlegen können – eine deutlich spürbarere Sanktion als ein nachträgliches Bußgeld. Der Fokus liegt klar auf dem Schutz besonders sensibler Daten, sei es im Gesundheitswesen oder am Arbeitsplatz.

Für Unternehmen wird die Investition in Privacy-by-Design-Technologien wie Pseudonymisierung und automatisiertes Datenlebenszyklus-Management entscheidend sein. Wer Datenschutz nur als lästige Formalie behandelt, riskiert nicht nur hohe Strafen, sondern massive operative Störungen.

boerse | 68665050 |